CVE-2024-28000

Błąd polega na nieprawidłowym przypisaniu uprawnień (CWE-266), co pozwala osobie nieposiadającej żadnego konta na stronie WordPress na eskalację swoich uprawnień do poziomu administratora. Atakujący nie musi podawać żadnych danych uwierzytelniających ani wchodzić w interakcję z ofiarą — atak jest możliwy zdalnie przez sieć (wektor sieciowy, brak wymaganej interakcji użytkownika). Exploit dla tej podatności jest publicznie dostępny w bazie Exploit-DB.

Atakujący może uzyskać pełne uprawnienia administracyjne na stronie WordPress, co w praktyce oznacza możliwość przejęcia witryny, instalacji złośliwego oprogramowania, kradzieży danych lub dalszego kompromitowania infrastruktury.

Należy niezwłocznie zaktualizować wtyczkę LiteSpeed Cache do wersji wyższej niż 6.3.0.1. Szczegóły poprawki dostępne są w referencjach producenta oraz w bazie Patchstack.

Wtyczka LiteSpeed Cache dla WordPress w wersjach od n/a do 6.3.0.1 włącznie.

Publicznie dostępny exploit w bazie Exploit-DB (ID 52328) oraz w Packet Storm (ID 200819) znacząco obniża próg wejścia dla potencjalnych atakujących. Mimo braku wpisu w CISA KEV, obecność gotowego exploita wymaga pilnego działania.